CPython typing-cache memory-safety flaw lets a malicious model chat template escape the Jinja sandbox and run code inside AI inference servers (vLLM)

RunSybilは（2026年11月3日〜5日頃に開示、oss-securityポストは11月5日）、CPythonの汎用型キャッシュのメモリ安全性の欠陥により、モデルのJinjaチャットテンプレートを制御する攻撃者がサンドボックスをエスケープし、そのモデルを提供するプロセス内で任意のコードを実行できることを実証しました — vLLMが読み込んだバックドア入りのQwen2.5-0.5Bチェックポイントに対して示されました。CPython、Jinja/Pallets、Hugging Face、vLLMに通知済みです; CPythonは信頼されていないPythonのサンドボックス化を脅威モデルの範囲外と見なしており、修正は3.12/3.11セキュリティチャネルにバックポートされていません。

これはAI推論サーバー上でのコード実行へのモデルサプライチェーン経路です：モデルウェイトとそのメタデータはデータとして扱われますが、チャットテンプレートは提供プロセス内でコードとして実行されます。Hugging Face上の毒されたモデルは、推論ホストとそれが読み取れるすべて（資格情報、DB、他のモデル）に到達する足がかりになります。

悪意のある、または改ざんされたモデルチェックポイントが、サーバープロセスによってレンダリングされる巧妙に作成されたchat_template.jinjaを同梱しています。テンプレートはCPythonの型ジェネリクスキャッシュのメモリ安全性バグ（__parameters__上の__typing_subst__を介した範囲外読み取り）を引き起こし、インタープリターの権限で提供プロセス内で任意のコード実行を達成します。

Ubuntu/Debian上のCPython（型ジェネリクスキャッシュ）3.12/3.11; vLLMおよびモデル提供のJinjaチャットテンプレートをレンダリングする任意のサーバー; バックドア入りのQwen2.5-0.5Bチェックポイントに対して実証済み。

ダウンロードしたチャットテンプレートをコードとして扱い、レビューするか独自のものを同梱し、最小権限で推論を実行し（別ユーザー、クラウド資格情報なし、DB到達不可のコンテナ）、修正がバックポートされているPython 3.13+に移行し、Python 3.12のディストリビューション修正に依存しないでください。CVEはなく、上流は3.12セキュリティチャネルにバックポートする予定はないため、「未修正として計画する」項目です。